【漏洞预警】Dockhand 容器 exec 的 WebSocket 升级未做鉴权（CVE-2026-57169）

发布日期： 2026 年 10 月 17 日
风险等级： 严重（Critical）
漏洞编号： CVE-2026-57169
涉及镜像： fnsys/dockhand — 轩辕镜像 · Docker Hub
CVSS： 9.6（Critical）
披露时间： 2026 年 10 月，Finsys 安全公告
相关公告： GHSA-f6q3-chhc-4hxm

---

一、漏洞概述

Dockhand 是连接 Docker 主机的管理界面。官方镜像是 fnsys/dockhand。

1.0.34 之前，容器 exec 接口在 WebSocket 升级时没有做鉴权。攻击者只要知道目标容器的 ID，并且该容器里有交互 shell，就可以不登录连进终端执行命令。容器如果是特权模式，或者挂了敏感目录，影响可能扩到宿主机。

这和 2026 年 10 月 14 日已经公开的三条（静态后缀绕过认证、OIDC 校验不足、Compose 回显）不是同一条路径。本条自己的修复线是 1.0.34。那三条里 OIDC 要到 1.0.50 才一起离开受影响区间。还没升级的实例应直接升到 1.0.50 或更高，一次盖住。

暴露面是能够从网络访问到 Dockhand 的未认证调用方，局域网可达就已经足够。

---

二、漏洞状态

统计截止： 2026 年 10 月 18 日（UTC+8）

---

三、影响范围

1. 版本与发行形态

镜像标签带 v 前缀。

已经在 v1.0.50 或 v1.0.53 上的实例，高于本条的 1.0.34，不需要为了 CVE-2026-57169 再降版本。

2. 典型受影响场景

• 管理端口在局域网或更大范围内可达，版本低于 1.0.34
• 运行中的容器 ID 可以从界面、日志或 API 被看到，容器内有 shell
• 容器是 privileged，或把宿主机目录挂了进来

容器没有 shell、并且管理端口只在本机回环上时，远程利用会难一些。鉴权缺失在 1.0.34 之前仍然存在。

---

四、修复建议

1. 升级到 v1.0.50 或更高（推荐）

请直接使用 v1.0.50 或更高。

Docker Hub： fnsys/dockhand

轩辕镜像： fnsys/dockhand

bash
docker pull docker.xuanyuan.run/fnsys/dockhand:v1.0.50

将 Compose 或运行参数中的镜像改为上述坐标后，重新创建容器。升级后确认版本不低于 1.0.50。若已经不低于 1.0.50，保持该版本即可。

2. 低于 1.0.34 且管理端口曾经对局域网开放时

按容器内命令可能已被执行处理：轮换容器和宿主机上能被挂载目录碰到的凭据，并用修复后的镜像重建 Dockhand。特权容器还要核对宿主机有没有异常变更。

---

五、临时缓解措施

在完成升级之前：

1. 不要把低于 1.0.34 的 Dockhand 暴露到局域网以外，最好先从局域网也撤下来
   未认证调用方知道容器 ID 就可以尝试进入终端。

2. 先去掉不需要的特权和敏感目录挂载
   这只能缩小从容器扩到宿主机的面，不能补上 WebSocket 鉴权。

3. 不要为了本条停在 1.0.34 就结束
   1.0.34 到 1.0.49 仍可能受 10 月 14 日那条 OIDC 问题影响。

---

六、与轩辕镜像用户的相关说明

轩辕镜像提供的是镜像加速与拉取服务，不替代 Dockhand 的版本升级。

• 站内页：fnsys/dockhand。拉取命令为 docker.xuanyuan.run/fnsys/dockhand:v1.0.50。
• 加速拉取不会自动变成安全版本。请把标签固定为 v1.0.50 或更高，例如已存在的 v1.0.53。
• 配置与排错见 轩辕镜像使用手册、镜像拉取 FAQ。

---

七、参考链接

• Finsys：GHSA-f6q3-chhc-4hxm
• Docker Hub：fnsys/dockhand
• 轩辕站内镜像页：fnsys/dockhand

---

轩辕镜像安全团队
2026 年 10 月 17 日